Criminal Justice Information Services (CJIS)

Access Context Manager

AlloyDB pour PostgreSQL

Apigee

Artifact Registry

BigQuery

Certificate Authority Service

Cloud Build

Cloud Composer

Cloud Data Fusion

Cloud DNS

Cloud External Key Manager (Cloud EKM)

Cloud HSM

Cloud Identity

Cloud Interconnect

Cloud Key Management Service

Cloud Load Balancing

Cloud Logging

Cloud Monitoring

Cloud NAT (traduction d'adresse réseau)

Cloud Router

Cloud Run

Cloud SQL

Cloud Storage

API Cloud Vision

Cloud VPN

Compute Engine

Connect

Dataflow

Dataproc

Filestore

Firestore

GKE Hub

Service d'identité GKE

Console d'administration Google

Google Kubernetes Engine

Identity and Access Management

Identity-Aware Proxy

Memorystore pour Redis

Network Connectivity Center

Persistent Disk

Pub/Sub

Resource Manager

Secret Manager

Sensitive Data Protection

Maillage de services

Spanner

Speech-to-Text

Text-to-Speech

Vertex AI Search

Vertex AI Workbench

Cloud privé virtuel

VPC Service Controls

Agenda

Docs

Drive

Forms

Gmail

Google Chat

Google Meet

Nouvelle version de Sites

Sheets

Slides

Une organisation tierce indépendante a récemment évalué les contrôles de sécurité CJIS de Google Cloud et a conclu que Google Cloud était conforme à la norme CJIS. Google prévoit de mettre à jour cette évaluation une fois que la version 6.0 de la politique de sécurité du CJIS aura été publiée.

Si un client ou un CSA (organisme chargé de la gestion des systèmes CJIS) en fait la demande, Google Cloud signera un accord de gestion qui fournit aux clients des informations détaillées sur la manière dont Google Cloud respecte la politique de sécurité de la division CJIS, sur les responsabilités de chacune des parties, sur les services cloud couverts et sur de nombreuses autres dispositions importantes. Vous pouvez demander une copie de l'accord de gestion CJIS de Google Cloud en envoyant un e-mail à l'adresse cjis@google.com.

L'équipe de conformité de Google Cloud peut également fournir des documents détaillés sur la conformité, qui montrent comment Google Cloud répond aux exigences de la loi CJISSECPOL applicables aux fournisseurs de services cloud.

Oui. Google Cloud permet aux clients de restreindre les charges de travail CJIS à des régions uniquement situées aux États-Unis grâce à Assured Workloads et Assured Controls. Google stockera vos données au repos conformément aux conditions spécifiques du service.

Dans les États où les employés Google peuvent avoir un accès non accompagné aux CJI non chiffrées, Google collabore avec le CSA (ou une agence locale) pour s'assurer que le personnel ayant accès sans escorte aux CJI non chiffrées d'un État fait l'objet d'une vérification d'antécédents par le FBI basée sur les empreintes digitales. Le personnel concerné de Google fournira à chaque CSA le formulaire d'empreintes digitales FD-258, ainsi que tout document requis.

Cette procédure permet de s'assurer que les membres autorisé du personnel ne vont bénéficier d'un accès sans supervision qu'après avoir effectué la vérification d'antécédents et suivi la formation de sensibilisation à la sécurité de la division CJIS.

Google a implémenté le principe de confiance zéro au cœur de ses services et de ses opérations. Notre infrastructure ne présume aucune confiance entre les services qui s'exécutent dessus. En d'autres termes, chaque demande d'accès aux ressources est inspectée, authentifiée et vérifiée comme si elle provenait d'un réseau non approuvé.

Les environnements client dans Google Cloud sont également séparés logiquement pour empêcher les utilisateurs et les clients d'accéder aux ressources qui ne leur sont pas attribuées. Les données client (y compris les données d'identification client) sont séparées logiquement par domaine afin de permettre la production de données pour un seul locataire. La capacité de Google Cloud à protéger les données client de cette manière, tout en permettant de développer des fonctionnalités plus rapidement et en offrant des avantages en termes de coûts pour le client, en fait le meilleur choix pour les clients du secteur public.

Enfin, toutes les données client en transit et au repos sont chiffrées par défaut pour TOUS les clients. Cela permet de disposer de plusieurs couches de défense dans une architecture cloud multi-locataire et offre une isolation renforcée pour tous les clients.

Non. Étant donné que Google fournit des clés de chiffrement gérées par le client et des contrôles d'accès aux données du personnel limitant l'accès aux CJI, l'informatique confidentielle n'est pas requise pour se conformer au CJIS sur Google Cloud. Les clients peuvent néanmoins avoir recours à l'informatique confidentielle en tant que contrôle de sécurité supplémentaire, en plus de l'environnement sécurisé et limité que Google offre aux clients CJIS.

Oui. Google Cloud utilise un module de chiffrement certifié FIPS 140-3 appelé BoringCrypto (certificat 4735) dans son environnement de production. Cela signifie que les données en transit (vers le client et entre les centres de données) comme les données au repos sont sécurisées par défaut à l'aide d'un chiffrement certifié FIPS 140-3.

Les clients peuvent ainsi conserver leur conformité FIPS tout en choisissant parmi diverses offres de gestion de clés cloud, telles que les clés gérées par Google, les clés de chiffrement gérées par le client et un système externe de gestion de clés. Étant donné que Google Cloud utilise ce niveau de chiffrement par défaut pour les données au repos et les données en transit, les clients peuvent hériter du chiffrement FIPS 140-3 et n'ont plus besoin d'exécuter des produits et services en mode FIPS.

Le règlement sur la sécurité CJIS ne requiert pas l'utilisation d'un cloud gouvernemental (ou "cloud public") et il n'existe pas de définition ou de norme universelles concernant ce qui constitue un cloud public. Google Cloud peut assurer la conformité avec la politique de sécurité de la division CJIS. Nous avons démontré notre conformité à une organisation d'évaluation tierce indépendante et à de nombreux CSA d'États. 

Google a investi dans une approche de sécurité multicouche de son infrastructure cloud publique, en fournissant des fonctionnalités telles que le chiffrement et des contrôles stricts des accès aux données par le personnel. Cela, associé à l'implémentation de la stratégie zéro confiance décrite ci-dessus, définit une stratégie de sécurité forte, qui permet de satisfaire aux exigences strictes de la politique de sécurité de la division CJIS, tout en permettant aux clients de bénéficier des constantes innovations produit dans le cloud public.

L'implémentation par Google des contrôles mentionnés ci-dessus (et de bien d'autres) est conforme aux exigences de niveau d'impact FedRAMP Modéré et FedRAMP Élevé, du programme FedRAMP (Federal Risk and Authorization Management Program). Elle a été reconnue par la commission Joint Authorization Board (JAB).

Notre approche est validée par le mémo M-24-15 du Bureau de la gestion et du budget (OMB) intitulé "Modernizing the Federal Risk and Authorization Management Program (FedRAMP)" ("Moderniser le programme FedRAMP"). Ce document recommande aux organismes fédéraux de s'éloigner des architectures GovCloud isolées:

"Le FedRAMP ne devrait pas inciter ni obliger les fournisseurs de services cloud commerciaux à créer des offres distinctes et dédiées à l'utilisation fédérale, que ce soit par l'application de cadres de sécurité fédéraux ou d'autres opérations du programme. Le gouvernement fédéral bénéficie des investissements, de la maintenance de la sécurité et du développement rapide de fonctionnalités que les fournisseurs de services cloud commerciaux consacrent à leurs produits principaux pour réussir sur le marché. De même, les fournisseurs commerciaux sont incités à intégrer à leurs services principaux les pratiques de sécurité améliorées qui découlent de leur engagement avec le FedRAMP, ce qui profite à tous les clients."

Chez Google Cloud, nous pensons que la confiance découle de la transparence. Nous voulons que vous sachiez tout de nos engagements et de notre responsabilité partagée concernant la protection et la gestion de vos données dans le cloud.

Lorsque vous utilisez Google Workspace ou Google Cloud :

1. Vos données vous appartiennent, elles n'appartiennent pas à Google.
2. Google ne vend pas les données de ses clients à des tiers
3. Google Cloud n'utilise pas les données de ses clients à des fins publicitaires
4. Toutes les données des clients sont chiffrées par défaut
5. Nous protégeons vos données contre les accès d'initiés.
6. Nous n'autoriserons jamais une quelconque entité gouvernementale à accéder "de manière détournée" à vos données.
7. Nos pratiques de confidentialité sont évaluées selon des normes internationales

Consultez l'Avenant relatif au traitement des données dans le cloud (ATDC) pour en savoir plus sur nos engagements concernant le traitement des données.